Sigorta Acenteleri İçin KVKK: Aydınlatma, Açık Rıza ve VERBİS

Bir sigorta acentesi her gün kimlik numarası, adres, telefon, araç ve plaka bilgisi, hatta sağlık beyanı gibi kişisel verilerle çalışır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) karşısında acenteniz, müşteri ve çalışan verileri için veri sorumlusudur. Bu yazıda acentenin temel yükümlülüklerini sade bir dille özetliyoruz.

Her işlem için bir hukuki sebep

KVKK'nın 5. maddesine göre kişisel veriler kural olarak açık rıza ile işlenir; ancak kanunda sayılan şu hallerde açık rıza aranmaz:

• Kanunlarda açıkça öngörülmesi,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati,
• Kişinin kendisinin alenileştirmesi ya da hayatın korunması gibi diğer haller.

Teklif hazırlamak, poliçe düzenletmek, hasarı takip etmek gibi işlerin önemli bir kısmı sözleşme ya da hukuki yükümlülük sebebine dayanabilir. Açık rıza ise bu sebeplerin hiçbiri yoksa başvurulacak yoldur. Kişisel Verileri Koruma Kurulu, açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerektiğini vurgular. Bu yüzden açık rızayı hizmetin ön şartı haline getirmeyin.

Sağlık verisi ve diğer özel nitelikli veriler

Sağlık, ceza mahkûmiyeti, biyometrik ve genetik veriler gibi bilgiler özel nitelikli kişisel veridir. Sağlık sigortası beyanları, hasar dosyasındaki raporlar ve hayat sigortası formları bu kapsama girebilir.

7499 sayılı Kanunla yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikle özel nitelikli verilerin işlenme şartları yeniden düzenlendi. Açık rızanın yanında kanunda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması gibi sınırlı haller de bu şartlar arasında. Bu verileri işlerken Kurul'un belirlediği ek güvenlik önlemlerini de almanız gerekir. Sağlık verisini erişimi sınırlı tutulan yerlerde saklayın ve yalnızca gereken kişilere açın.

Aydınlatma yükümlülüğü

Veriyi toplarken kişiyi bilgilendirmek, hangi hukuki sebebe dayanırsanız dayanın zorunludur. KVKK'nın 10. maddesine göre şunları anlatırsınız: veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, kişinin hakları.

Aydınlatma Tebliği'ne göre:

• Hukuki sebep açıkça belirtilmelidir.
• Genel ve muğlak ifadeler kullanılmamalı, metin anlaşılır ve sade olmalıdır.
• Eksik, yanıltıcı ya da yanlış bilgi verilmemelidir.
• Açık rızaya dayanılıyorsa aydınlatma ile açık rıza ayrı ayrı alınmalıdır.
• Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır.

Pratikte bunun anlamı şudur: Müşteriye tek bir formda "her şeyi kabul ediyorum" imzalatmak yerine, bilgilendirme metnini ayrı, varsa açık rıza beyanlarını (örneğin pazarlama iletileri için) ayrı tutun. Pazarlama SMS'i ve e-postası için ayrıca İYS kuralları geçerlidir; bkz. İYS ve Ticari Elektronik İleti.

VERBİS kaydı gerekiyor mu?

VERBİS, veri sorumluları siciline kayıt sistemidir. Kanun kayıt yükümlülüğü getirir, Kurul ise istisnalar belirleyebilir. Kurumun duyurularına göre güncel durum şöyledir:

• Ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumlularından yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olanlar kayıttan muaftır.
• Ana faaliyet konusu özel nitelikli veri işleme olanlar için eşik çok daha düşüktür: çalışan sayısı 10'dan az ve mali bilanço toplamı 10 milyon TL'den az (Kurul kararı 2025/1572).
• Kurul'un 2025/2393 sayılı kararına göre bilanço esasına göre defter tutanlarda iki ölçüt birlikte aranır; bilanço esasına göre defter tutmayanlarda yalnızca yıllık çalışan sayısına bakılır.

Acentenizin hangi gruba girdiğini, özellikle sağlık sigortası ağırlıklı çalışıyorsanız, danışmanınızla değerlendirin. Unutmayın: istisna yalnızca sicile kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği ve başvuruları yanıtlama yükümlülükleri herkes için devam eder.

Veri güvenliği ve ihlal bildirimi

Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve yetkisiz erişimi önlemek için gerekli teknik ve idari tedbirleri almak zorundadır. Bir veri ihlalinde Kurul'un 2019/10 sayılı kararına göre ihlal, öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirilmelidir.

Acentede öne çıkan tedbirler:

• Her kullanıcının yalnızca işi için gereken verilere erişmesi ve yapılan işlemlerin kayıt altına alınması,
• Müşteri belgelerinin kişisel WhatsApp hesaplarında ve özel e-postalarda dolaşmaması,
• Düzenli, şifreli ve sınanmış yedek,
• Artık gerekmeyen verilerin saklama süresi sonunda silinmesi.

İlgili konular için Kullanıcı Yetkileri ve Log, WhatsApp ve E-Posta ile Veri Paylaşımı ve Belge Saklama Süreleri yazılarımıza bakabilirsiniz.

Yurt dışına aktarım

Bulut depolama, e-posta ya da yazışma hizmetlerinin sunucuları yurt dışındaysa kişisel verilerin yurt dışına aktarılması söz konusu olabilir. 7499 sayılı Kanunla bu alanda yeni bir düzen getirildi: yeterlilik kararı, yoksa standart sözleşme gibi uygun güvenceler, o da yoksa sınırlı arızi haller. Kurum, henüz hiçbir ülke için yeterlilik kararı verilmediğini belirtmektedir. Standart sözleşme kullanılırsa Kurul'a bildirilmesi gerekir.

Programda size yardımcı olanlar

PSPforSQL Acente programında ve Web Portal'da kişisel verilere kimin ulaşabileceğini kullanıcı yetkileriyle sınırlarsınız. Portalda T.C. kimlik, vergi numarası ve plaka gibi bilgiler yetkiye göre maskelenir ve yapılan işlemler kayıt altına alınır. Aydınlatma, açık rıza ve saklama yükümlülükleri ise veri sorumlusu olarak acentenize aittir; program bu süreçleri sizin yerinize yürütmez.

Özetle

1. Tuttuğunuz her veri için hukuki sebebi belirleyin; açık rızayı son çare olarak kullanın.
2. Sade, eksiksiz bir aydınlatma metni hazırlayın; açık rızayı ayrı alın.
3. Sağlık verilerine erişimi sıkı sınırlayın.
4. VERBİS istisnasına girip girmediğinizi çalışan sayınız ve defter türünüze göre kontrol edin.
5. Yetki, kayıt, yedek ve silme düzeninizi kurun; ihlalde 72 saat kuralını unutmayın.